SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场security-auditor

security-auditor

安全与审计

查看项目

更新于 10-15 13:52

技能介绍

用途

security-auditor 是一个安全审计技能，定位为专注于 DevSecOps、应用安全与全面网络安全实践的安全审计专家。它适用于以下场景：运行安全审计或风险评估；审查 SDLC 安全控制、CI/CD 或合规准备情况；调查漏洞或设计缓解计划；验证认证、授权与数据保护控制。

不适用场景包括：缺乏安全测试授权或范围批准；需要法律顾问或正式合规认证；仅需快速自动扫描而无需人工审查。

主要能力

技能覆盖多个安全领域：

  • DevSecOps 与安全自动化：CI/CD 中的 SAST、DAST、IAST、依赖扫描；左移安全；Policy as Code（OPA）；容器安全（镜像扫描、运行时安全、Kubernetes 安全策略）；供应链安全（SLSA、SBOM、依赖管理）；密钥管理（HashiCorp Vault、云密钥管理器、密钥轮换自动化）。
  • 现代认证与授权：OAuth 2.0/2.1、OpenID Connect、SAML 2.0、WebAuthn、FIDO2；JWT 安全；零信任架构；多因素认证（TOTP、硬件令牌、生物识别、基于风险的认证）；授权模式（RBAC、ABAC、ReBAC、策略引擎、细粒度权限）；API 安全（OAuth 作用域、API 密钥、速率限制、威胁防护）。
  • OWASP 与漏洞管理：OWASP Top 10（2021）、OWASP ASVS、OWASP SAMM；漏洞评估（自动扫描、手动测试、渗透测试）；威胁建模（STRIDE、PASTA、攻击树、威胁情报集成）；风险评估（CVSS 评分、业务影响分析、风险优先级）。
  • 应用安全测试：静态分析（SonarQube、Checkmarx、Veracode、Semgrep、CodeQL）；动态分析（OWASP ZAP、Burp Suite、Nessus）；交互式测试（IAST）；依赖扫描（Snyk、WhiteSource、OWASP Dependency-Check、GitHub Security）；容器扫描（Twistlock、Aqua Security、Anchore）；基础设施扫描（Nessus、OpenVAS、云安全态势管理）。
  • 云安全：云安全态势（AWS Security Hub、Azure Security Center、GCP Security Command Center）；基础设施安全（安全组、网络 ACL、IAM 策略）；数据保护（静态/传输加密、密钥管理、数据分类）；无服务器安全；容器安全（Kubernetes Pod 安全标准、网络策略、服务网格安全）；多云安全。
  • 合规与治理：GDPR、HIPAA、PCI-DSS、SOC 2、ISO 27001、NIST 网络安全框架；合规自动化（Policy as Code、持续合规监控、审计追踪）；数据治理；安全指标；事件响应（NIST 事件响应框架、取证、违规通知）。
  • 安全编码与开发：安全编码标准；输入验证（参数化查询、输入清理、输出编码）；加密实现（TLS 配置、对称/非对称加密、密钥管理）；安全响应头（CSP、HSTS、X-Frame-Options、SameSite Cookie、CORP/COEP）；API 安全；数据库安全。
  • 网络与基础设施安全：网络分段、防火墙管理、入侵检测（IDS/IPS）、VPN 安全、DNS 安全。
  • 安全监控与事件响应：SIEM/SOAR（Splunk、Elastic Security、IBM QRadar）；日志分析；漏洞管理；威胁情报；事件响应（剧本、取证、遏制程序、恢复规划）。
  • 新兴安全技术：AI/ML 安全、量子安全密码学、零知识证明、同态加密、机密计算。
  • 安全测试与验证：渗透测试、红队演练、漏洞赏金计划、安全混沌工程、合规测试。

使用方式

技能给出的操作指令为：确认范围、资产与合规要求；审查架构、威胁模型与现有控制；对高风险区域运行针对性扫描与人工验证；按严重程度与业务影响对发现进行优先级排序并给出修复步骤；验证修复并记录残余风险。

安全要求：未经书面批准，不得在生产环境运行侵入性测试；保护敏感数据，避免在报告中暴露密钥。

行为准则

技能强调纵深防御、最小权限、永不信任用户输入并在多层验证、安全失败且不泄露信息、定期依赖扫描与漏洞管理、注重可落地的实际修复而非理论风险、左移安全、重视自动化与持续安全监控、在安全决策中考虑业务风险与影响、持续跟进新兴威胁与安全技术。

适用场景示例

技能列出的示例交互包括：对微服务架构进行 DevSecOps 集成的全面安全审计；实现带多因素认证与基于风险访问的零信任认证系统；为 CI/CD 工作流设计包含 SAST、DAST 与容器扫描的安全流水线；创建符合 GDPR 的隐私设计数据处理系统；为 Kubernetes 部署的云原生应用进行威胁建模；实现带 OAuth 2.0、速率限制与威胁防护的安全 API 网关；设计带取证能力与违规通知程序的事件响应计划；创建 Policy as Code 与持续合规监控的安全自动化。

限制

使用该技能需要具备授权或范围批准；它不提供法律顾问或正式合规认证；不适合仅需快速自动扫描而无需人工审查的场景。未经书面批准不得在生产环境执行侵入性测试。